Cómo investigar un actor de amenazas
Un método basado en evidencia para investigar un actor de amenazas: reúne la atribución, mapea las técnicas, conecta las campañas y los CVEs, y luego evalúa la confianza y construye una investigación.
Respuesta rápida
Para investigar un actor de amenazas, recopila la atribución y los alias, mapea sus técnicas con MITRE ATT&CK, vincula sus campañas y CVEs, y luego sopesa la confianza de cada afirmación y comienza una investigación estructurada.
Definición
La investigación de actores de amenazas es el proceso basado en evidencia de construir un perfil de un operador hostil — sus alias, patrocinio, técnicas, campañas y actividad destacada — a partir de inteligencia publicada abiertamente.
Respuesta primero
Construye un perfil del actor a partir de atribución → técnicas → campañas/CVEs → confianza.
1. Atribución y alias
Recopila el nombre principal del actor, los alias y el patrocinio (quién está detrás). Trata la atribución como una afirmación que necesita una fuente y una etiqueta de confianza.
2. Mapea las técnicas
Relaciona al actor con las técnicas de MITRE ATT&CK que usa — esto convierte un nombre vago en un perfil operativo de cómo opera.
3. Conecta las campañas y los CVEs
Vincula las campañas y los CVEs con los que se asocia al actor. Haz referencias cruzadas para ver si las mismas herramientas aparecen en distintos incidentes.
4. Sopesa la confianza
La atribución es difícil. Anota dónde coinciden las fuentes, dónde entran en conflicto y qué confianza puedes sostener honestamente.
5. Comienza una investigación
Usa la página de la entidad como tu registro de trabajo e inicia una investigación para hacer seguimiento de los hallazgos, la evidencia y las preguntas abiertas.
Fuentes y precaución
Apóyate en CISA, MITRE ATT&CK, las divulgaciones de los proveedores y la investigación de seguridad fiable. Evita las citas circulares y no inventes actividad: usa “sin evidencia confirmada” cuando nada esté verificado.
Referencias
Pregunte al asistente basado en evidencia de OpenTrojan — las respuestas citan sus fuentes.